CVE-2026-55164
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Lemur przed wersją 1.9.2 ma podatność w lemur.users.service.update, która przypisuje nowe hasło bezpośrednio do pola users.password, bez wywołania funkcji hash_password (zarejestrowanej tylko dla zdarzenia before_insert). W rezultacie zmiany hasła przez administratora przez PUT /api/1/users/ są zapisywane w postaci jawnego tekstu, co uniemożliwia normalne logowanie i naraża hasła na ujawnienie.
Ocena ryzyka
Jeśli baza danych, kopia zapasowa lub logi zostaną naruszone, atakujący może uzyskać natychmiastowy dostęp do haseł bez konieczności ich łamania, co stanowi poważne zagrożenie dla bezpieczeństwa kont.
Rekomendacja
Zaktualizuj Lemur do wersji 1.9.2 lub nowszej, która rejestruje hashowanie dla zdarzenia before_update i unika ponownego hashowania wartości z prefiksem bcrypt.
Oryginalny opis (angielski, źródło NVD)
Lemur manages TLS certificate creation. Prior to 1.9.2, lemur.users.service.update assigned a replacement password directly to users.password, while lemur/users/models.py registered User.hash_password only for the before_insert event. Because no before_update listener ran, administrator-initiated password changes through PUT /api/1/users/ were committed as plaintext. The affected user could no longer authenticate normally because bcrypt verification received an unhashed value. A database, backup, replica, query-log, or administrative read compromise exposed immediately usable credentials without offline cracking. The fix registers hashing for before_update and avoids rehashing values that already have a bcrypt prefix. This issue is fixed in version 1.9.2.